Re: Trou dans un firewall (iptables nftable)

[Thomas Trupel <thomas.trupel@laposte.net>]

Bonjour Joël,

As-tu essayé d'approfondir l'analyse avec la target TRACE ?

iptables -t raw -A PREROUTING -p udp --dport 5060 -j TRACE

Par ailleurs, tcpdump semble indiquer que le serveur reçoit un paquet sur le port TCP/5060 et non UDP/5060.

Cordialement,
Thomas

On 7/3/23 12:41, BERTRAND Joël wrote:

> 	Bonjour à tous,
>
> 	Je suis en train de configurer (péniblement) un serveur asterisk qui
> est dans un DMZ. Tout le flux entrant sur l'IP publique est naté vers ce
> serveur, protégé par un firewall iptables et fail2ban. Il s'agit
> d'iptables et non d'iptables-legacy.
>
> 	Cette machine est connectée à deux réseaux : wan0 d'un côté et lan0 de
> l'autre.
>
> 	Ce qui m'inquiète :
>
> Root rayleigh:[/etc/asterisk] > tcpdump -i wan0 -p port 5060
> ...
> 12:26:54.145136 IP patient.census.internet-measurement.com.38253 >
> rayleigh.systella.fr.sip: Flags [S], seq 3922597779, win 14600, options
> [mss 1440], length 0
>
> 	Là, je ne saisis pas puisque j'ai dans le fichier
> /var/lib/iptables/active :
>
> *filter
> :INPUT DROP [28:3300]
> :FORWARD DROP [0:0]
> :OUTPUT DROP [27:3120]
> [0:0] -A INPUT -i lo -j ACCEPT
> [0:0] -A INPUT -i lan0 -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport ssh -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport smtp -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport domain -j ACCEPT
> [0:0] -A INPUT -i wan0 -p udp -m udp --dport domain -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport http -j ACCEPT
> [0:0] -A INPUT -i wan0 -p udp -m udp --dport ntp -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport https -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport ssmtp -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport submission -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport imaps -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport pop3s -j ACCEPT
> [0:0] -A INPUT -i wan0 -p udp -m udp --dport openvpn -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport openvpn -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport cvspserver -j ACCEPT
> [0:0] -A INPUT -i wan0 -p udp -m udp --dport cvspserver -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport jabber-client -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport git -j ACCEPT
> [0:0] -A INPUT -i wan0 -p icmp -j ACCEPT
> [0:0] -A INPUT -i wan0 -p udp -m udp --dport 10000 -j ACCEPT
> [0:0] -A INPUT -i wan0 -p tcp -m tcp --dport 4443 -j ACCEPT
> [0:0] -A INPUT -i wan0 -p udp -m udp -s 37.97.65.0/24 -j ACCEPT
> [0:0] -A INPUT -i wan0 -s ns6-axfr.gandi.net -j ACCEPT
> [0:0] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> [0:0] -A INPUT -m state --state INVALID -j DROP
> [0:0] -A OUTPUT -o lo -j ACCEPT
> [0:0] -A OUTPUT -o lan0 -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport ftp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport ssh -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport telnet -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport smtp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport whois -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport domain -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --dport domain -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport gopher -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport http -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport pop3 -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport nntp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --dport ntp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport snmp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --dport snmp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport snmp-trap -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --dport snmp-trap -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport https -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport rtsp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport pop3s -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --dport openvpn -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --sport 1195 -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport cvspserver -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --dport cvspserver -j ACCEPT
> [1:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport 3128 -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport mysql -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport subversion -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport postgresql -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport http-alt -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp --dport git -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p icmp -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp --sport 10000 -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p tcp -m tcp -d 37.97.65.186 --dport 5070 -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -p udp -m udp -d 37.97.65.0/24 -j ACCEPT
> [0:0] -A OUTPUT -o wan0 -d ns6-axfr.gandi.net -j ACCEPT
> [0:0] -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> [0:0] -A OUTPUT -m state --state INVALID -j DROP
>
> 	La table mangle est utilisée pour la QoS. Comment se fait-il qu'un
> paquet sur le port 5060/UDP puisse être envoyé à mon serveur sans qu'il
> ne soit jeté ? Il n'y a pas de conntrack-sip chargé...
>
> 	Bien cordialement,
>
> 	JKB
>
>